【Java面试题】cookie、session、jwt/token的异同

以下是对Cookie、Session、Token与JWT的异同的完善分析，结合技术原理、安全性和应用场景进行系统性对比：

---

🔍 一、核心概念与工作流程

机制	定义	工作流程	核心特点
Cookie	客户端存储的小型文本数据	1. 服务器通过Set-Cookie响应头下发数据 2. 浏览器自动在后续请求中通过Cookie头回传 3. 服务器解析Cookie获取用户状态	依赖浏览器自动管理，可设置有效期、作用域和安全性属性（如HttpOnly）
Session	服务器端存储的用户会话数据	1. 登录后服务器生成唯一Session ID并存入服务器 2. Session ID通过Cookie发送给客户端 3. 后续请求携带Session ID，服务器据此查询会话数据	有状态：会话数据存储在服务端（内存/数据库）
Token	广义的认证令牌（如UUID、OAuth令牌）	1. 登录后服务器生成令牌返回客户端 2. 客户端在请求头（如Authorization）中手动携带令牌 3. 服务器验证令牌有效性	无状态：服务端不存储令牌数据，验证依赖签名或密钥
JWT	特定格式的Token（JSON Web Token）	1. 登录后生成包含用户信息的JWT（Header+Payload+Signature） 2. 客户端存储JWT并在请求头中传递 3. 服务端验证签名和有效期	自包含：用户信息直接编码在Token中，无需查库

---

⚖️ 二、关键异同对比

1. 存储位置与状态管理

特性	Cookie	Session	Token	JWT
存储位置	客户端浏览器	服务端（数据）+ 客户端（ID）	客户端	客户端
状态性	依赖服务端Session时为有状态	有状态（服务端维护数据）	无状态（服务端不存储）	无状态（自包含用户信息）
跨域支持	受限（需设置domain）	需额外配置（如共享Redis）	天然支持	天然支持

2. 数据结构与安全性

项目	Cookie	Session	Token/JWT
数据格式	键值对文本（≤4KB）	任意类型（对象/数组）	JWT为三段式Base64编码（Header.Payload.Signature）
敏感信息存储	不安全（需避免存储敏感数据）	安全（数据在服务端）	JWT的Payload仅Base64编码（非加密），避免存储敏感信息
主要风险	CSRF、XSS	Session劫持、服务器资源耗尽	JWT密钥泄露、令牌盗用
安全增强	HttpOnly、Secure、SameSite	定期过期、IP绑定	HS256/RS256强签名算法、短期有效期

3. 性能与扩展性

• Cookie
  每次请求自动携带，增加带宽开销；适合单体应用，但跨域场景性能受限。
• Session
  高并发时服务端存储压力大，分布式系统需引入Redis等共享存储，增加架构复杂性。
• Token/JWT
  无状态特性天然适合分布式系统和微服务，无需会话同步；但JWT的Payload过大会影响网络传输效率。

---

🛡️ 三、核心问题与解决方案

1. JWT的独特挑战

问题	原因	解决方案
无法主动注销	服务端无状态，无法废止已签发Token	引入黑名单机制（如Redis记录失效Token）
令牌续期体验差	过期后需重新登录	双Token机制（Access Token+Refresh Token）
Payload安全性	Base64非加密，信息可被客户端解码	敏感信息加密存储（如JWE格式）

2. Session vs JWT 适用场景

• 选Session的场景
  • 传统单体应用（如银行系统），需严格会话管理
  • 需要实时禁用用户（如管理员踢人）
  • 存储敏感数据（如支付凭证）
• 选JWT的场景
  • 前后端分离/微服务架构（如React+Node.js）
  • 跨域认证（如单点登录SSO）
  • 移动端API认证（减少服务端压力）

---

💎 四、总结：技术选型决策树

1. 是否需要服务端强管控？
   • 是 → 选择 Session（实时管理会话）
   • 否 → 进入下一步
2. 系统是否分布式？
   • 是 → 选择 JWT（无状态扩展）
   • 否 → 进入下一步
3. 数据敏感性优先级？
   • 高 → 选择 Session（服务端存储更安全）
   • 低 → 选择 Cookie/简单Token（轻量级场景）

最佳实践：现代系统常组合使用，如：

• 网关层用JWT做无状态认证 → 内部服务用Session管理业务状态
• 敏感操作（如支付）用Session → 普通API用JWT

通过以上对比，可依据业务需求在状态管理、安全控制和架构复杂度间取得平衡。